InformatieBeveiliging en Privacy (IPB)

Transcriptie

1 InformatieBeveiliging en Privacy (IPB) 1. Inleiding Het onderwijsveld is in toenemende mate afhankelijk van informatie en (meestal geautomatiseerde) informatievoorzieningen. Ook neemt de hoeveelheid informatie toe door ontwikkelingen als gepersonaliseerd leren met ICT. Deze afhankelijkheid van ICT brengt nieuwe kwetsbaarheden en risico s met zich mee. Het is van belang om adequate maatregelen te nemen op het gebied van Informatie Beveiliging en Privacy (IBP) om de gevolgen van deze risico s tot een aanvaardbaar niveau te brengen en de voortgang van het onderwijs en de bedrijfsvoering optimaal te waarborgen. 2. InformatieBeveiliging en Privacy (IBP) Onder informatiebeveiliging wordt verstaan het treffen en onderhouden van een samenhangend pakket aan maatregelen om de kwaliteitsaspecten van de informatievoorziening te garanderen. Kwaliteitsaspecten van informatievoorziening: Beschikbaarheid: de mate waarin gegevens en/of functionaliteiten beschikbaar zijn op de juiste momenten. Integriteit: de mate waarin gegevens en/of functionaliteiten juist en volledig zijn. Vertrouwelijkheid: de mate waarin de toegang tot gegevens en/of functionaliteiten beperkt is tot degenen die daartoe bevoegd zijn. Onvoldoende informatiebeveiliging kan leiden tot onacceptabele risico s bij de uitvoering van onderwijs en bij de bedrijfsvoering. Incidenten en inbreuken in deze processen kunnen leiden tot ernstige nadelige gevolgen voor de bescherming van persoonsgegevens, financiële schades en imagoverlies. IBP gaat over persoonsgegevens. Persoonsgegevens dienen beschermd te worden conform de huidige wet en regelgeving. Persoonsgegevens zijn alle gegevens die herleidbaar zijn tot een bepaald individu. Ook gegevens over bijvoorbeeld iemands ras, godsdienst of gezondheid vallen onder beschermde, bijzondere persoonsgegevens. Onder verwerking van persoonsgegevens wordt elke handeling met betrekking tot persoonsgegevens verstaan. InformatieBeveiliging en Privacy 2018

2 Er zijn drie categorieën van persoonsgegevens. Publieke informatie: informatie die met iedereen gedeeld kan worden. Gevoelige informatie: informatie die bestemd is voor een beperkt publiek. Deze informatie moet worden afgeschermd zodat derden geen inzage hebben en niets kunnen wijzigen. Zeer gevoelige informatie: informatie die bedoeld is voor een zeer beperkt publiek en die absoluut niet bedoeld is voor derden. Denk aan accountgegevens, medische informatie en geheime telefoonnummers. 3. Vervlechting InformatieBeveiliging en Privacy Informatiebeveiliging is een belangrijk onderdeel van privacy terwijl omgekeerd de zorgvuldige omgang met privacygegevens noodzakelijk is voor informatiebeveiliging. Beide begrippen staan naast elkaar en zijn van elkaar afhankelijk. Het onderwerp informatiebeveiliging en privacy wordt afgekort tot IBP. Dit IBP-beleid ligt ten grondslag aan de aanpak van InformatieBeveiliging en Privacy binnen AccentScholengroep. 4. Doel en reikwijdte van dit IBP-beleid In het kader van de WBP (Wet Bescherming Persoonsgegevens) en met ingang van 25 mei 2018 de Algemene Verordening Gegevens Bescherming (AVG) is het noodzakelijk dat alle medewerkers binnen AccentScholengroep voldoen aan dit IBP-beleid. Dit houdt in dat er met zorg moet worden omgegaan met persoonsgegevens en informatie die betrekking heeft op leerlingen en medewerkers. Iedereen moet zich hiervan bewust zijn. Om hiervoor te zorgen heeft AccentScholengroep een aantal doelstellingen en uitgangspunten opgesteld. Deze zijn hieronder beschreven. Doelstellingen Het waarborgen van de continuïteit van het onderwijs en de bedrijfsvoering. Het garanderen van de privacy van leerlingen en medewerkers waardoor beveiligings- en privacy-incidenten en de eventuele gevolgen hiervan worden voorkomen. Dit beleid is gericht op de optimalisering van de kwaliteit van de verwerking van informatie en de beveiliging van persoonsgegevens. Waarbij er een goede balans moet zijn tussen privacy, functionaliteit en veiligheid. Uitgangspunt is dat de persoonlijke levenssfeer van de betrokkene, met name van medewerkers en leerlingen, wordt gerespecteerd. AccentScholengroep voldoet met dit IPB-beleid aan relevante wet- en regelgeving. InformatieBeveiliging en Privacy 2018 Pagina 2 van 24

3 Reikwijdte Het informatiebeveiligings- en privacy beleid binnen AccentScholengroep geldt voor alle medewerkers, leerlingen, ouders/verzorgers, (geregistreerde) bezoekers en externe relaties (inhuur / outsourcing), en ook voor alle organisatieonderdelen. De nadruk van het beleid ligt op die toepassingen die vallen onder de verantwoordelijkheid van AccentScholengroep. Het beleid heeft betrekking op gecontroleerde informatie die door de school zelf is gegenereerd en wordt beheerd. Daarnaast is het ook van toepassing op nietgecontroleerde informatie waarop de school kan worden aangesproken, zoals uitspraken van medewerkers en leerlingen in discussies, op (persoonlijke pagina s van) websites. Het beleid heeft betrekking op het verwerken van persoonsgegevens van alle betrokkenen binnen AccentScholengroep waaronder in ieder geval alle medewerkers, leerlingen, ouders/verzorgers (wanneer zij gebruik maken van b.v. het ouderportaal van ParnasSys), (geregistreerde) bezoekers en externe relaties (inhuur/outsourcing), evenals op andere betrokkenen waarvan AccentScholengroep persoonsgegevens verwerkt. In het beleid ligt de nadruk op de geheel of gedeeltelijk geautomatiseerde/systematische verwerking van persoonsgegevens die plaatsvindt onder de verantwoordelijkheid van Accent- Scholengroep evenals op de daaraan ten grondslag liggende documenten die in een bestand zijn opgenomen. Het beleid is ook van toepassing op niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen. IBP-beleid binnen AccentScholengroep heeft raakvlakken met: o Algemeen veiligheids- en toegangsbeveiligingsbeleid; met als aandachtspunten bedrijfshulpverlening, fysieke toegang en beveiliging, crisismanagement, huisvesting en ongevallen. o Personeels- en organisatiebeleid; met als aandachtspunten in- en uitstroom van medewerkers, functiewisselingen, functiescheiding en vertrouwensfuncties. o IT-beleid; met als aandachtspunten aanschaf, beheer en gebruik van ICT en (digitale) leermiddelen. o Medezeggenschap van leerlingen, hun ouders/verzorgers en medewerkers over de reglementen verwerken persoonsgegevens. o Beleid inzake aanschaf en gebruik van digitale leermiddelen. o De aanpak van de privacy en informatie beveiliging. InformatieBeveiliging en Privacy 2018 Pagina 3 van 24

4 5. Uitgangspunten Algemene uitgangspunten informatiebeveiliging IBP-beleid dient te voldoen aan alle relevante wet- en regelgeving, in het bijzonder aan de Wet bescherming persoonsgegevens en de Algemene Verordening Gegevensbescherming (per ). Binnen AccentScholengroep is het veilig en betrouwbaar omgaan met informatie de verantwoordelijkheid van iedereen. Hierbij hoort niet alleen het actief bijdragen aan de veiligheid van geautomatiseerde systemen en de daarin opgeslagen informatie, maar ook van fysieke documenten. De school(het schoolbestuur) is eigenaar van de informatie die onder haar verantwoordelijkheid wordt geproduceerd. Daarnaast beheert de school informatie waarvan het eigendom (auteursrecht) toebehoort aan derden. Medewerkers en leerlingen worden goed geïnformeerd over de regelgeving rond het gebruik van informatie. AccentScholengroep sluit met de leveranciers van digitale onderwijsmiddelen (zowel van educatieve als bedrijfsapplicaties) bewerkersovereenkomsten af wanneer zij persoonsgegevens ontvangen van de school. Hierbij wordt gebruik gemaakt van de meest recente versie van het convenant Digitale leermiddelen privacy ( ) en het bijbehorende model bewerkersovereenkomst. Dit geldt ook voor overheids- en andere instellingen indien er gegevens van leerlingen of medewerkers worden verstrekt, al dan niet op wettelijke basis. Er wordt van alle medewerkers, leerlingen, (geregistreerde) bezoekers en externe relaties verwacht dat zij zich fatsoenlijk gedragen met een eigen verantwoordelijkheid. Het is niet acceptabel dat door al dan niet opzettelijk gedrag onveilige situaties ontstaan die leiden tot schade en/of imagoverlies. AccentScholengroep heeft hiervoor dit beleid voor IBP geformuleerd, vastgesteld en geïmplementeerd. Informatiebeveiliging en privacy zijn bij AccentScholengroep een continu proces waarbij regelmatig (minimaal jaarlijks) wordt geëvalueerd en wordt gekeken of aanpassing gewenst is. Bij wijzigingen in de infrastructuur of de aanschaf van nieuwe (informatie)systemen wordt bij Accent- Scholengroep vanaf de start rekening gehouden met informatiebeveiliging en privacy. Uitgangspunten privacy Privacygevoelige informatie is informatie die direct over iemand gaat ofwel naar deze persoon te herleiden is. Hierbij kun je denken aan naam, adres en telefoonnummer. Ook gegevens over bijvoorbeeld iemands ras, godsdienst of gezondheid zijn privacygevoelig. Deze privacygevoelige informatie valt onder de beschermde persoonsgegevens. InformatieBeveiliging en Privacy 2018 Pagina 4 van 24

5 Persoonsgegevens zullen adequaat worden beveiligd volgens algemene, breed geaccepteerde beveiligingsnormen. Bij alle registraties op basis van aantoonbare toestemming zal AccentScholengroep aan de betrokkene de mogelijkheid aanbieden om deze toestemming weer in te kunnen trekken. Doel Persoonsgegevens worden alleen gebruikt voor uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Deze doeleinden zijn concreet en voorafgaand aan de verwerking vastgesteld. Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doelen waarvoor ze zijn verkregen. Dit betekent dat al bij de opgave van een leerling op school het voor de ouders/verzorgers duidelijk moet zijn welke gegevens van een leerling zullen worden opgeslagen en wat het doel daarvan is. Dit kan bijvoorbeeld in de schoolgids of op de website van de school woren vermeld. De school is verplicht om elk jaar vóór 1 oktober een bestand met leerling gegevens op te sturen naar DUO. Verzending van deze gegevens is geregeld in een aparte wet. Op basis hiervan ontvangt het schoolbestuur de bekostiging van de overheid. Doelbinding Persoonsgegevens mogen alleen worden verwerkt om het vooraf vastgestelde doel te bereiken. Gegevens die daarmee niet in verband staan, mogen dus niet worden verwerkt. Ook de juiste beveiligingsmaatregelen dragen eraan bij dat de gegevens niet voor een verkeerd doel worden gebruikt. Bijvoorbeeld: De ouders geven hun telefoonnummer voor onder meer noodgevallen. De school mag deze telefoonnummers niet (laten) gebruiken om de ouders uit te nodigen voor een inloopavond van de gemeente over een opknapbeurt voor de wijk waarin de school ligt. Grondslag De verwerking van Persoonsgegevens is gebaseerd op een wettelijke grondslag Voor het onderwijs gelden de volgende grondslagen: a. Toestemming: Bijvoorbeeld toestemming van ouders voor gebruik van beeld- of geluidsopnames van het kind. b. Overeenkomst: Gegevens mogen verzameld worden als dat nodig is voor de uitvoering van de overeenkomst met betrokkene. c. Wettelijke verplichting: Als de wet eist dat persoonsgegevens verwerkt worden (bijvoorbeeld voor het doorgeven van leerling informatie aan het Ministerie van OCW). d. Publiekrechtelijke taak: Op onze scholen is op basis van de haar opgedragen publieke taak (het geven van onderwijs) gegevensverwerking nodig. e. Vitaal belang van betrokkene: Verwerking van persoonsgegevens is noodzakelijk om een ernstige bedreiging van de gezondheid van de betrokkene te beperken/voorkomen. InformatieBeveiliging en Privacy 2018 Pagina 5 van 24

6 Bijvoorbeeld: Een leerling valt onder schooltijd en de ouders zijn onbereikbaar. De school belt voor medische informatie over de leerling met de huisarts. Er is geen toestemming gevraagd voor dit overleg maar het gesprek is wél in belang van de leerling. f. Gerechtvaardigd belang: Het verzamelen van de persoonsgegevens is belangrijk dan het privacybelang van de betrokkene. Dit vereist een belangenafweging. De betrokkene mag zich verzetten tegen verwerking van zijn persoonsgegevens met deze grondslag. Dataminimalisatie Bij de verwerking van Persoonsgegevens blijft de hoeveelheid en het soort gegevens beperk. Het type persoonsgegevens moet redelijkerwijs nodig zijn om het doel te bereiken. Ze staan in verhouding tot het doel (proportioneel). Het doel kan niet met minder, alternatieve of andere gegevens worden bereikt. Dit betekent ook dat data niet langer wordt bewaard dan noodzakelijk. Bijvoorbeeld: Een conciërge moet ouders kunnen bellen in geval van ziekte, maar heeft geen toegang nodig tot de cijfers of het leerlingvolgsysteem. In dit verband is het belangrijk dat de medewerkers de goede rol in het administratiepakket en het leerlingenvolgsysteem krijgen toebedeeld. In het schoolnetwerk wordt onderscheid gemaakt tussen documenten voor directie, Ib ers, leerkrachten en leerlingen. Transparantie De school legt aan betrokkenen (leerlingen, hun ouders en medewerkers) op transparante wijze verantwoording af over het gebruik van hun persoonsgegevens, alsmede over het gevoerde IBPbeleid. Deze informatievoorziening vindt ongevraagd plaats. Daarnaast hebben deze betrokkenen recht op verbetering, aanvulling, verwijdering of afscherming van hun persoonsgegevens. Data-integriteit Er zijn maatregelen getroffen om te waarborgen dat de te verwerken persoonsgegevens juist en actueel zijn. InformatieBeveiliging en Privacy 2018 Pagina 6 van 24

7 6. Wet en regelgeving AccentScholengroep voldoet aan alle van toepassing zijnde relevante wet- en regelgeving. Waaronder: Wet op het primair onderwijs. De code goed bestuur. Wet bescherming persoonsgegevens tot 25 mei Algemene Verordening Gegevensbescherming (AVG) vanaf Archiefwet. Leerplichtwet. Auteurswet. Wetboek van Strafrecht. Hiernaast zijn de bepalingen van het convenant Digitale onderwijsmiddelen en privacy 2.0 leidend bij het maken van afspraken met leveranciers. 7. Organisatie De organisatie van IBP gaat over processen, gewoontes, beleid, wetten en regels die van betekenis zijn voor de manier waarop mensen in een organisatie informatie en privacy beheren en controleren. Hierbij spelen de relaties tussen de verschillende betrokkenen en de doelen van de organisatie een rol. Dit hoofdstuk beschrijft hoe IBP bij AccentScholengroep is georganiseerd. Daarbij wordt onderscheid gemaakt tussen drie niveaus: Richtinggevend (strategisch) Sturend (tactisch) Uitvoerend (operationeel) Voor elk niveau wordt beschreven welke rollen welke verantwoordelijkheden en taken hebben en wat de documenten zijn die daarbij passen Richtinggevende rol (strategisch) Het College van Bestuur is eindverantwoordelijk voor de IBP en stelt het beleid en de basismaatregelen op het gebied van informatiebeveiliging en privacy vast. De toepassing en werking van het IBP-beleid wordt op basis van regelmatige rapportages geëvalueerd. De inhoudelijke verantwoordelijkheid voor de IBP is gemandateerd aan de manager IBP. InformatieBeveiliging en Privacy 2018 Pagina 7 van 24

8 Sturende rol (tactisch) Manager IBP De manager IBP heeft een sturende rol. Hij geeft terugkoppeling en advies aan het College van Bestuur en stuurt medewerkers op uitvoerend niveau aan. Taken van de manager IBP zijn: Vertalen van het IBP-beleid naar richtlijnen, procedures, maatregelen en documenten voor de gehele instelling. Bewaken van de uniformiteit van dit beleid. Aanspreekpunt zijn voor incidenten op het gebied van informatiebeveiliging en privacy. De afhandeling van incidenten binnen AccentScholengroep coördineren. Functionaris voor Gegevensbescherming De functionaris voor gegevensbescherming (FG) houdt binnen AccentScholengroep toezicht op de toepassing en naleving van de AVG. De wettelijke taken en bevoegdheden van de FG geven deze functionaris een onafhankelijke positie in de organisatie. De FG zorgt voor het afhandelen van vertrouwelijke informatiebeveiligingsincidenten. De FG heeft regelmatig overleg met manager IBP. De FG is tevens de contactpersoon voor klachten en vragen van betrokkenen. De FG is, na zijn benoeming, aangemeld bij de Autoriteit Persoonsgegevens. Taken van de FG zijn: toezicht houden/ inventarisaties van gegevensbewerkingen maken/ meldingen van gegevensbewerkingen bijhouden/ vragen en klachten van mensen binnen en buiten de organisatie behandelen/ interne regelingen ontwikkelen/ adviseren over technologie en beveiliging/ input leveren bij het opstellen of aanpassen van een gedragscode. Accent kiest ervoor om eind 2018 een FG aan te stellen. Een FG zal zijn taak pas goed kunnen vervullen nadat het IBP-beleid in de Accentorganisatie van start is gegaan. Domeinverantwoordelijke Binnen de stichting Accent zijn er verschillende domeinen, zoals ICT, P&O, financiën, beheer en administratie. Op ieder domein is een (staf)medewerker verantwoordelijk voor de wijze waarop de IBP wordt vormgegeven. Dit betreft de richtlijnen, procedures en instructies. De (staf)medewerker is tevens verantwoordelijk voor de risico s die veroorzaakt worden doordat personen of applicaties ten onrechte toegang krijgen tot deze applicaties. Om de risico s te verkleinen hebben (staf)medewerkers de volgende specifieke taken: Samen met het College van Bestuur stellen zij het beleid voor toegang vast; Samen met de manager IBP zien zij er op toe dat gebruikers alleen toegang krijgen tot het netwerk en de netwerkdiensten waarvoor zij specifiek bevoegd zijn. De schooldirecteur is verantwoordelijk voor de risico s die veroorzaakt worden doordat personen of applicaties ten onrechte toegang krijgen tot deze applicaties. Om de risico s te verkleinen hebben de schooldirecteuren de volgende specifieke taken: Hij zorgt ervoor dat alle medewerkers op de hoogte zijn van dit IBP-beleid. InformatieBeveiliging en Privacy 2018 Pagina 8 van 24

9 Hij zorgt voor naleving van dit IBP-beleid door de medewerkers, waarbij hijzelf een voorbeeldfunctie heeft. Hij zorgt ervoor dat het onderwerp IBP regelmatig onder de aandacht gebracht wordt bij de medewerkers tijdens werkoverleggen, beoordelingen, etc. Hij is aanspreekbaar voor alle personeel gerelateerde IBP-onderwerpen. Daarbij kan hij ondersteund worden door de manager IBP. Samen met de manager IBP en de ICT-coördinator van de school regelmatig de toegangsrechten van gebruikers beoordelen. Medewerkers in dienst bij een externe partij (bijvoorbeeld pedagogisch medewerkers in een IKC) zijn gehouden aan het IBP-beleid van Accent. Uitvoerende rol (operationeel) Manager IBP De manager IBP is aanspreekbaar voor alle technische zaken betreffende de informatiebeveiliging voor het management en de medewerkers. De ICT-coördinator De ICT-coördinator wordt door de schooldirecteur in overleg met de portefeuillehouder ICT voorzien van een ingevuld werkpakket, bestaande uit richtlijnen, procedures en instructies. Op basis hiervan voert hij zijn taken uit. Medewerkers Alle medewerkers zijn verantwoordelijk voor de informatiebeveiliging in hun dagelijkse werkzaamheden. Zij stellen zich professioneel op. Deze verantwoordelijkheden zijn beschreven in het Veiligheidsbeleid Alle medewerkers die met persoonsgegevens werken hebben een geheimhoudingsplicht. Zij zijn hier op gewezen bij de bespreking van dit IBP-beleid. Van medewerkers wordt een actieve betrokkenheid bij de informatiebeveiliging en privacy verwacht. Dit is zichtbaar doordat zij melding maken van beveiligingsincidenten, verbetervoorstellen doen en invloed uitoefenen op het beleid (individueel of via de medezeggenschap). Schooldirecteuren Naleving van het informatiebeveiligingsbeleid is onderdeel van de bedrijfsvoering. Iedere schooldirecteur heeft op uitvoerend niveau de taak om: ervoor te zorgen dat zijn medewerkers op de hoogte zijn van het beveiligingsbeleid. toe te zien op de naleving van het IBP-beleid door de medewerkers, waarbij hij zelf een voorbeeldfunctie heeft. periodiek het onderwerp IBP onder de aandacht te brengen in werkoverleggen. als aanspreekpunt beschikbaar te zijn voor alle personeel gerelateerde IBP-onderwerpen. InformatieBeveiliging en Privacy 2018 Pagina 9 van 24

10 8. Controle en rapportage Dit IBP-beleid wordt minimaal elke twee jaar getoetst en bijgesteld door het College van het Bestuur. Hierbij wordt rekening gehouden met: De status van de informatiebeveiliging als geheel (beleid, organisatie, risico s). De effectiviteit van de genomen maatregelen en aantoonbare werking daarvan. Daarnaast kent AccentScholengroep een jaarlijkse planning en control cyclus voor informatiebeveiliging en privacy. Dit is een periodiek evaluatieproces waarbij de inhoud en effectiviteit van het IBP-beleid wordt getoetst (bijlage 1). Voor alle overlegmomenten geldt dat deze zoveel mogelijk ingepast worden in bestaande overlegvormen met hetzelfde karakter waarbij op: strategisch niveau richtinggevend wordt gesproken over de organisatie en het naleven van het IBP-beleid, alsmede over doelen, scope en ambitie op het gebied van IBP. tactisch niveau de strategie wordt vertaald naar plannen, te hanteren normen, evaluatiemethoden, etc. Deze plannen en instrumenten zijn sturend voor de uitvoering. operationeel niveau de onderwerpen worden besproken die de dagelijkse bedrijfsvoering (uitvoering) aangaan. Deze overlegvorm wordt centraal georganiseerd en indien nodig op elke school van AccentScholengroep. Voorlichting en bewustzijn Beleid en maatregelen zijn niet voldoende om risico s op het terrein van informatiebeveiliging en privacy uit te sluiten. In de praktijk blijkt de mens meestal de belangrijkste speler. Daarom wordt bij AccentScholengroep het bewustzijn van de individuele medewerkers voortdurend aangescherpt, zodat de kennis van risico s wordt verhoogd en veilig en verantwoord gedrag wordt aangemoedigd. Onderdeel van het beleid zijn de regelmatig terugkerende bewustwordingscampagnes/voorlichting voor medewerkers, deelnemers en gasten. Verhoging van het beveiligingsbewustzijn is een verantwoordelijkheid van de manager IBP, de schooldirecteur en de ICT-coördinator met het College van Bestuur als eindverantwoordelijke. Incidenten en datalekken Alle incidenten kunnen worden gemeld bij de leidinggevende en bij privacy@accentscholengroep.nl Een incident dat kan leiden tot een datalek is bijvoorbeeld de diefstal van een laptop of telefoon met persoonsgegevens. De afhandeling van deze incidenten volgt een gestructureerd proces, dat ook voorziet in de juiste stappen rondom de meldplicht datalekken. Een datalek wordt gecommuniceerd naar betrokken instanties en partijen. Een school is verplicht binnen 72 uur een datalek te melden bij de Autoriteit Persoonsgegevens. InformatieBeveiliging en Privacy 2018 Pagina 10 van 24

11 Bovenstaande is beschreven in een protocol en is in te zien bij schooldirecteuren en op het bestuurskantoor. Dit protocol is als bijlage toegevoegd (bijlage 2). Controle, naleving en sancties De naleving bestaat uit algemeen toezicht op de dagelijkse praktijk van het IBP-proces. Van belang hierbij is dat leidinggevenden en proceseigenaren hun verantwoordelijkheid nemen en hun medewerkers aanspreken in geval van tekortkomingen. Bij AccentScholengroep wordt actief aandacht besteed aan IBP bij de benoeming van medewerkers en tijdens functioneringsgesprekken. De professionele houding van de medewerker ten opzichte van de Informatie Beveiliging en Privacy is voortdurend onderwerp van gesprek. Voor de bevordering van de naleving van de Wet bescherming persoonsgegevens en zijn opvolger de AVG, vervult de Functionaris voor Gegevensbescherming (FG) een belangrijke rol. De FG wordt aangesteld door het College van Bestuur. Hij heeft een wettelijk omschreven en onafhankelijke toezichthoudende taak. De FG werkt via een door het CvB vast te stellen reglement. Mocht de naleving van de afspraken conform het IBP-beleid ernstig tekort schieten, dan kan Accent- Scholengroep de betrokken verantwoordelijke medewerkers een disciplinaire-maatregel op leggen. Dit binnen de kaders van de CAO en de wettelijke mogelijkheden. 9. Databeveiliging en continuïteit Eigen gebruikersaccount Iedere gebruiker van het netwerk binnen AccentScholengroep ontvangt zijn of haar eigen gebruikersaccount. De inloggegevens hiervoor zijn privé en mogen niet worden gedeeld. Aan het gebruikersaccount is een Accent- adres gekoppeld. Dit adres wordt te allen tijde gebruikt voor communicatie richting interne- en externe partijen. Personeelsdossiers De personeelsdossiers zijn gedigitaliseerd en beschikbaar in het personeelsadministratiesysteem van RAET ( Youforce genaamd). Aan alle medewerkers is een uniek wachtwoord verstrekt en alle nieuwe medewerkers ontvangen bij hun aanstelling rechtstreeks een wachtwoord voor RAET. Bij gegevens wijzigingen, zoals adres, bankrekeningnummer, etc. dient een ieder zelf de wijzigingen in zijn RAET-account door te voeren. Wachtwoorden Het wachtwoord behorende bij het gebruikersaccount moet verplicht 1x per half jaar worden aangepast en moet voldoen aan complexiteitseisen. InformatieBeveiliging en Privacy 2018 Pagina 11 van 24

12 Het wachtwoord bevat tekens uit drie van de volgende categorieën: - Hoofdletters; - Kleine letters; - Basis 10 cijfers (0-9); - Niet-alfanumerieke tekens (speciale tekens) (bijvoorbeeld!, $, #, %). Voor medewerkers met toegang tot de staf- en IB-mappen is het verplicht om gebruik te maken van multifactor authentication. Hierbij is een 2 e apparaat (bijvoorbeeld een telefoon) nodig om toegang te krijgen tot de account en de mappen. Opslaan van gegevens Binnen de stichting wordt er gebruik gemaakt van Microsoft Office 365. Deze omgeving is de enige aangewezen plek om bestanden op te slaan en te delen binnen de stichting. De ICT-coördinator regelt de toegang tot de data. De schooldirecteur is hiervoor verantwoordelijk. De toegang tot de data wordt gerealiseerd door de betreffende accounts toe te voegen aan specifieke groepen voor de eigen school. Toegang tot de staf- en IB- schijf wordt, na overleg, toegestaan door de stafmedewerker ICT. Deze schijven hebben een extra beveiligingslaag. De bestandsopslag op gebruikersapparatuur van de stichting wordt voorkomen om schade bij verlies of diefstal te beperken. Het is niet toegestaan om privacygevoelige informatie op te slaan op een externe gegevensdrager zoals een usb drive of cd-rom. Ook opslag van deze informatie op werkstations/telefoons/tablets van medewerkers is zonder een extra beveiligingslaag niet toegestaan. Office 365 is de aangewezen omgeving om data van een afstand te benaderen. Deze omgeving heeft als voordeel dat het te benaderen is vanaf bijna elk apparaat, mits er toegang is tot het internet. Op deze manier wordt er voorkomen dat bestanden buiten het eigen netwerk komen. Delen van gegevens Delen van privacygevoelige informatie is niet toegestaan zonder aantoonbare schriftelijke toestemming van betrokkenen. Bij het delen van data gaan we ervan uit dat we hierbij zelf eigenaar blijven. Dit houdt in dat de bestanden worden gedeeld vanuit Office 365 en dat ze niet als bijlage worden verstuurd. Voordeel hierbij is dat we de toestemming voor inzien kunnen intrekken en dat er maar één versie beschikbaar is. Alle partijen waarmee we data delen die betrekking heeft op persoonsgegevens moeten voldoen aan het privacy convenant zoals is opgesteld door de PO-raad. Hierbij moet worden aangegeven welke gegevens worden gebruikt en waarom. Daarnaast wordt hierin ook aangegeven hoe de betreffende partij omgaat met incidenten en beveiliging van de data. Deelnemende partijen zijn in te zien op: Indien een partij niet is aangesloten moet er een aparte overeenkomst worden opgesteld waarin alle afspraken staan benoemd. Hiervoor is een modelovereenkomst verkrijgbaar op de website van InformatieBeveiliging en Privacy 2018 Pagina 12 van 24

13 het platform. Meer informatie over het convenant en een modelovereenkomst zijn terug te vinden op: Leerling administratiesysteem Binnen alle scholen van AccentScholengroep wordt er gebruik gemaakt van ParnasSys. De verantwoordelijkheid hiervoor ligt bij de school. Het bestuur is eindverantwoordelijk. Gegevens over leerlingen dienen te worden opgeslagen in ParnasSys en niet in eigen schoolbestanden of mappen. Dit maakt de informatie inzichtelijker voor de betrokken personen en hierdoor is het zo min mogelijk gefragmenteerd. Inzage in de gegevens van ParnasSys door alle leerkrachten, de internbegeleider en de directeur van de school, dient met de ouders besproken te worden. Daarbij is de beredenering van de functionaliteit hiervan noodzakelijk. Ouders geven schriftelijk toestemming voor deze inzage van gegevens. Invallers met kortdurende werkzaamheden krijgen geen toegang tot gegevens die in ParnasSys staan. Voor langdurige invallers moet er een gebruiker worden toegevoegd die is gekoppeld aan het gebruikersaccount binnen de stichting. Algemene invaller-accounts zijn niet toegestaan. Overdracht onderwijskundig rapport en dossier AccentScholen maken gebruik van de Overstap Service Onderwijs (OSO) voor de overdracht van het onderwijskundig rapport van een leerling die vertrekt naar het Voortgezet Onderwijs of naar een andere basisschool. Voor de overdracht van het rapport van de leerling is het noodzakelijk dat de ouders het rapport hebben ingezien en ondertekend. Het overstapdossier mag alleen wettelijk toegestane informatie bevatten. Het handelingsplan, het ontwikkelperspectief (OP) of leerling rapport eindtoets basisonderwijs kunnen als bijlage worden toegevoegd, wanneer ouders hier toestemming voor gegeven hebben. Verder kunnen er geen gegevens worden overgedragen. Leerlingdossiers worden binnen twee jaar nadat de leerling de school verlaten heeft, verwijderd. Werkplekken en apparatuur De apparatuur die tot beschikking wordt gesteld aan medewerkers en leerlingen is voorzien van een virusscanner die zorgt voor een adequate beveiliging. Er wordt slechts gebruik gemaakt van apparatuur die beschikbaar is gesteld door de stichting. Bij het verlaten van de werkplek moet deze worden vergrendeld, zodat deze niet toegankelijk is voor derden. InformatieBeveiliging en Privacy 2018 Pagina 13 van 24

14 Back-ups van bestanden Alle bestanden worden opgeslagen binnen Office 365 en zijn daar ook beveiligd. Microsoft zorgt vervolgens voor een back-up van de data. Back-ups buiten Office 365 moeten worden voorzien van een aparte encryptie voor beveiliging. Dit kan slechts in overleg met de schooldirecteur en de stafmedewerker ICT plaatsvinden. Websites en social media Persoonsgegevens van leerlingen worden niet op de website geplaatst. Voor gebruik van foto s op de schoolwebsite is het van belang dat er jaarlijks schriftelijke toestemming van de ouders is verkregen. Ouders zijn jaarlijks schriftelijk op de hoogte gesteld van het feit dat zij deze toestemming ook te allen tijde weer kunnen intrekken. Toestemming voor het plaatsen van foto s op de schoolwebsite is nog geen toestemming om deze ook te plaatsen op social media (bijvoorbeeld Facebook) of in een schoolgids. Vraag hier apart jaarlijks schriftelijk toestemming voor. En stel ouders tevens jaarlijks schriftelijk op de hoogte van het feit dat zij deze toestemming te allen tijde weer kunnen intrekken De regels worden met ouders besproken en toegepast door de schooldirecteur. Het protocol voor het gebruik van internet en social media is beschreven in het Veiligheidsbeleid van Zie hiervoor de website In de schoolgids zijn de regels voor InformatieBeveiliging en Privacy beschreven. (bijlage 3) InformatieBeveiliging en Privacy 2018 Pagina 14 van 24

15 Bijlage 1 Planning en control Om risico s in beeld te krijgen voert Accent jaarlijks een risicoanalyse m.b.v. een workshop uit. Tijdens de risicoanalyse worden eerst de risico s bepaald en daarna worden de maatregelen die nodig zijn om die risico s tot een minimum te beperken bepaald. Een risicoanalyse zal niet alleen de grootste risico s aan het licht brengen, zodat je weet waar je als eerste in moet investeren. Het is ook een middel om te zorgen dat iedereen hetzelfde beeld krijgt over risico s en de nadelige gevolgen voor de school. Denk bij nadelige gevolgen aan: 1. Reputatieschade: door incidenten die gemeld worden in de media. Bijvoorbeeld examenfraude, wachtwoorden op straat, gestolen examens. Dit is slecht voor het imago van een school. 2. Financiële schade: als leerling gegevens niet juist zijn kan de bekostiging van deze leerlingen in gevaar komen; je niet houden aan de privacywetgeving kan financiële consequenties hebben, zoals het niet melden van een datalek. 3. Continuïteit het onderwijs: Cybercrime en DDos-aanvallen kunnen het onderwijs enorm verstoren. 4. Wet en regelgeving: er moet aantoonbaar voldaan worden aan de AVG. 5. Risico s in de cloud: toepassingen in de cloud leveren specifieke aandachtspunten op zoals eigenaarschap, toegang, privacy en continuïteit van de dienstverlening van externe partijen. 6. Te beperkt kennisniveau: ontwikkelingen gaan snel, de eisen om te voldoen aan wet- en regelgeving worden strenger en de risico's groter. Onvoldoende kennis kan tot gevolg hebben dat er onjuiste beslissingen worden genomen ten aanzien van informatiebeveiliging en privacy met alle gevolgen van dien. InformatieBeveiliging en Privacy 2018 Pagina 15 van 24

16 Bijlage 2 Protocol incidenten en datalekken Het Protocol informatiebeveiligingsincidenten en datalekken sluit aan bij de uitgangspunten in het informatiebeveiligings- en privacy beleid van Accent. Dit protocol biedt een handleiding voor de professionele melding, beoordeling en afhandeling van beveiligingsincidenten en datalekken. Het doel hiervan is het voorkomen van beveiligingsincidenten en datalekken. Dit protocol is van toepassing op de gehele organisatie van Accent, zoals vermeld in het IBP beleid. Gebruikte termen Beveiligingsincident. Een beveiligingsincident is een gebeurtenis die er voor zorgt of zou kunnen zorgen dat de beschikbaarheid, integriteit en/of vertrouwelijkheid van de informatievoorziening wordt aangetast. Informatievoorziening. Het geheel van mensen, middelen en maatregelen, gericht op de informatiebehoefte van de organisatie. Datalek. Een beveiligingsincident waarbij persoonsgegevens verloren raken of onrechtmatig worden bewerkt (opgeslagen, aangepast, verzonden, etc.) Alle datalekken zijn beveiligingsincidenten maar niet alle beveiligingsincidenten zijn datalekken. Betrokkene De persoon van wie de persoonsgegevens zijn gelekt. Wet- en regelgeving datalekken Op 1 januari 2016 is de Wet meldplicht datalekken ingevoerd. Door deze meldplicht zijn ook scholen verplichting melding te maken van ernstige datalekken bij de Autoriteit Persoonsgegevens. Het nalaten van deze melding kan leiden tot een fikse boete. De meldplicht is alleen van toepassing wanneer persoonsgegevens worden verwerkt. Bijvoorbeeld in je leerling administratie of digitale leermiddelen. Als de school gebruik maakt van leveranciers, zoals uitgevers of distributeurs, die persoonsgegevens ontvangen van de school, dan moet de school met deze bewerkers aanvullende afspraken over het melden van datalekken. Er is sprake van een datalek als er bij een beveiligingsincident persoonsgegevens verloren zijn gegaan óf waarbij het niet valt uit te sluiten is dat persoonsgegevens verloren zijn gegaan. Er is persoonlijke informatie gelekt. Een klassiek voorbeeld van een datalek is een hack waarbij een database met persoonsgegevens is gestolen. Maar het verliezen van een usb-stick met daarop de adresgegevens van klas 3b is ook een datalek. De meldplicht geldt voor de verantwoordelijke voor de persoonsgegevens, dat is dus het schoolbestuur. Een leverancier is een bewerker voor de school. Er kan worden afgesproken dat een bewerker namens de verantwoordelijke de melding doet maar dat gebeurt dan onder verantwoordelijkheid van het schoolbestuur. Dat moet wel worden afgesproken anders zal de verantwoordelijke zelf de melding moeten doen. InformatieBeveiliging en Privacy 2018 Pagina 16 van 24

17 Als er een datalek is, moet daar binnen 72 uur na ontdekking van het lek melding van worden gedaan bij de Autoriteit Persoonsgegevens. Het schoolbestuur maakt als verantwoordelijke voor de persoonsgegevens afspraken maken met leveranciers als die persoonsgegevens ontvangen. Afspraken over datalekken vallen daar ook onder. Hoe informeer je elkaar over datalekken, en zorg ook voor bereikbaarheid tijdens bijvoorbeeld het weekend en vakanties. Wie doet de melding bij de Autoriteit Persoonsgegevens. Welke informatie gegevens de bewerker moet geven bij een datalek. Welke informatie nodig is voor het doen van een melding, en dat je elkaar informeert over de melding (maak afspraken dat je een kopie van de melding krijgt of doorstuurt). De tijd waarbinnen de bewerkers de gegevens moet aanleveren. Wie de communicatie met de gebruikers voor haar rekening neemt als dat nodig is. Voor de schriftelijke afspraken met de bewerker(s) maken we gebruik van het model bewerkersovereenkomst bij het convenant Digitale onderwijsmiddelen en privacy ( Uitgangssituatie Er is een actueel informatiebeveiligings- en privacy beleid; Er is een actueel document betreffende het aanvaardbaar gebruik van bedrijfsmiddelen en/of gedragscode ict en internetgebruik. Er zijn tenminste vier rollen die onderscheiden moeten worden om een beveiligingsincident en/of datalek succesvol af te handelen. 1. Ontdekker (medewerker); degene die het beveiligingsincident of datalek op het spoor komt en het proces in werking stelt. 2. Meldpunt (servicedesk); een centrale locatie waar alle beveiligingsincidenten worden geregistreerd en verder worden verwerkt. 3. Melder (functionaris gegevensbescherming); degene die verantwoordelijk is voor het melden van een datalek bij de Autoriteit Persoonsgegevens. 4. Technicus (ict coördinator); degene die de oorzaak van het datalek kan vinden en kan (laten) repareren. InformatieBeveiliging en Privacy 2018 Pagina 17 van 24

18 De zeven stappen 1. Ontdekken De Ontdekker merkt een beveiligingsincident op. Via eigen waarneming of via waarneming van een derde. De Ontdekker verzamelt zoveel mogelijk informatie over het beveiligingsincident en meldt het bij het meldpunt via 2. Inventariseren Het Meldpunt bepaalt dan of er voldoende informatie omtrent het beveiligingsincident bekend is. Zo niet, dan zet hij aanvullende vragen uit bij de Ontdekker en/of de Technicus. De volgende informatie wordt daarna vastgelegd: Samenvatting van het beveiligingsincident, wat is er met de gegevens gebeurd, wat voor gegevens zijn het (bijzondere gegevens of van gevoelige aard) Datum/periode van het beveiligingsincident Aard van het beveiligingsincident Wanneer van toepassing (bij een datalek): o Omschrijving van de groep betrokkenen o Aantal betrokkenen o Type persoonsgegevens in kwestie o Worden de gegevens binnen een keten gedeeld 3. Beoordelen Wanneer het Meldpunt voldoende informatie heeft verzameld, en een datalek vermoedt, stuurt deze de Melder een verzoek om de verzamelde informatie te bekijken. De Melder beoordeelt de feiten om te bepalen of een melding aan de Autoriteit persoonsgegevens en/of betrokkenen vereist is. De volgende informatie wordt vastgelegd door de Melder: Mogelijke gevolgen voor de persoonlijke levenssfeer van de betrokkenen; Wordt het datalek gemeld aan de Autoriteit Persoonsgegevens? Waarom niet? Wordt het datalek aan betrokkenen gemeld? Waarom niet? Hoe worden meldingen gedaan? Wat is de inhoud van de melding? Bij de beoordeling of er sprake is van een meldingsplichtig datalek, houd je rekening met het type gegevens, en met de hoeveelheid gegevens. Indien het datalek leidt tot een aanzienlijke kans op ernstige nadelige gevolgen voor de bescherming van persoonsgegevens, of als het ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens, moet er gemeld worden. Van die ernstige nadelige gevolgen of de kans op ernstige nadelige gevolgen is bijvoorbeeld sprake wanneer er heel veel gegevens van een betrokkene of gegevens van heel veel betrokkenen gelekt zijn, maar ook wanneer de gelekte gegevens gevoelig zijn zoals bijvoorbeeld bijzondere persoonsgegevens over gezondheid, over de financiële of economische situatie van de betrokkene, of als de gegevens kunnen leiden tot stigmatisering van de betrokkene (denk aan het lekken van een leerling die vaak kinderen pest en daarmee gezien kan worden als notoire pester). InformatieBeveiliging en Privacy 2018 Pagina 18 van 24

19 Onderstaande beslisboom kan gebruikt worden 4. Repareren De Technicus stafmedewerker ICT wordt gevraagd te achterhalen wat de oorzaak van het beveiligingsincident is en moet de oorzaak (laten) verhelpen. De technicus van Accent legt onderstaande vast: Technische en organisatorische maatregelen die genomen zijn om de inbreuk te verhelpen en verdere inbreuk te voorkomen. Voorgaande voor zover de oorzaak bekend is. Zijn de gelekte gegevens onbegrijpelijk voor degenen die er kennis van heeft kunnen nemen? Hoe zijn de gegevens onbegrijpelijk gemaakt (versleuteld)? 5. Melden Indien de conclusie bij stap 3 is dat er melding gedaan moet worden bij de Autoriteit Persoonsgegevens (en eventueel betrokkenen), dan zal de Melder dit binnen twee werkdagen doen. De melding bevat alle verzamelde informatie en de getroffen incidentele en structurele technische en organisatorische maatregelen. Het lek wordt gemeld bij het meldloket datalekken: Het meldingsformulier is openbaar en neem eens een kijkje welke informatie er eigenlijk nodig is om een datalek te melden. Dan ben je voorbereid als dat ooit nodig mocht zijn. InformatieBeveiliging en Privacy 2018 Pagina 19 van 24

20 6. Vastleggen Alle informatie, die in de voorafgaande stappen is ingewonnen of ontstaan, wordt gearchiveerd door het Meldpunt waarmee het incident is afgesloten. Het Meldpunt verstuurt een samenvatting van de genomen maatregelen aan de Ontdekker. 7. Informeren betrokkene: leerling en/of zijn ouders Heeft het datalek waarschijnlijk ongunstige gevolgen voor de persoonlijke levenssfeer van de betrokkene? Dan moet het datalek ook aan de betrokkenen zelf worden gemeld. Dat zijn medewerkers, leerlingen (of hun ouders als zij jonger zijn dan 16 jaar). In principe kan er van worden uitgaan dat het lekken van gevoelige aard gelekt gemeld moet worden bij de betrokkenen. Let op: als er persoonsgegevens zijn gelekt maar die zijn beveiligd of versleuteld, en de gelekte data zijn onbegrijpelijk of ontoegankelijk voor anderen, dan hoeft dat toch niet aan betrokkenen te worden gemeld. Denk aan het lekken van een beveiligde én versleutelde database met gebruikersnamen en wachtwoorden. InformatieBeveiliging en Privacy 2018 Pagina 20 van 24

21 Bijlage 3 Schoolgidstekst Tekst 1 voor de schoolgids waarin ouders op de hoogte gesteld worden dat er informatie wordt uitgewisseld met derden om het onderwijsleerproces te bevorderen. Het onderwerp privacy is belangrijk omdat er steeds meer gegevens digitaal worden opgeslagen. De digitale mogelijkheden worden steeds groter en de daarmee gepaard gaande risico s van inbreuk op de privacy nemen toe. Om de privacy nog beter te beschermen is vanaf 25 mei 2018 de Algemene Verordening Gegevensbescherming (AVG) ingevoerd. Privacy is een grondrecht en gaat over de bescherming van persoonsgegevens. Leerling gegevens zijn persoonsgegevens. Vaak bevatten leerling gegevens gevoelige informatie, zoals informatie over gezondheid, vraagstelling rond leren en gedrag en godsdienst. Deze persoonsgegevens worden ook wel bijzondere persoonsgegevens genoemd en mogen alleen worden vastgelegd als dat noodzakelijk is, bijvoorbeeld voor begeleiding van leerlingen of voor bijzonderheden. Denk hierbij aan de registratie van allergieën, zodat hiermee rekening gehouden kan worden bij traktaties of lunches. Of de registratie van diabetes, zodat in geval van nood de juiste procedure kan worden gevolgd. Alles wat er met persoonsgegevens wordt gedaan, wordt in de wet verwerken genoemd. Verwerken is onder meer: online en offline persoonsgegevens verzamelen, kopiëren, opslaan, verspreiden, publiceren, delen en uitwisselen. Binnen de school worden de volgende persoonlijke gegevens verwerkt: Persoonsgegevens in relatie tot de wettelijke verplichtingen bij inschrijving van de leerling; Gegevens die noodzakelijk zijn met het oog op de gezondheid en het welzijn van de leerling; Gegevens over de aard en verloop van het onderwijs: de behaalde leerresultaten; Gegevens met het oog op de organisatie van het onderwijs; Gegevens ten behoeve van de ondersteuning van de leerling; Bij de uitwisseling van (persoonlijke) gegevens met derden is het uitgangspunt dat: Zoveel mogelijk gekozen wordt voor de uitwisseling van anonieme gegevens. Persoonlijke gegevens slechts worden uitgewisseld met toestemming van de ouders/verzorgers. Bij het ontbreken van toestemming van de ouders/verzorgers dit gebeurt op basis van het verenigbaarheid criterium uit de Wet Bescherming Persoonsgegevens. Daarbij gaat het om de belangen van de leerling in het kader van begeleiding, gezondheid en welzijn, waarbij slechts die gegevens mogen worden uitgewisseld die een relatie hebben met het doel van de oorspronkelijke registratie. Voor meer informatie over toepassing van de Algemene Verordening Gegevensbescherming binnen Accent kunt u het document InformatieBeveiliging en Privacybeleid van Accent inzien. Dit document is ter inzage op de website van Accent geplaatst ( InformatieBeveiliging en Privacy 2018 Pagina 21 van 24

22 Tekst 2 voor de schoolgids waarin ouders worden geïnformeerd over het plaatsen van foto s en video s van leerlingen Het is ouders/verzorgers niet toegestaan om foto s en/of filmpjes van kinderen, anders dan hun eigen kind(eren) via sociale media te verspreiden. Dat is wettelijk zo bepaald. Om ouders en verzorgers toch te laten zien welke activiteiten er op school plaatsvinden, worden er af en toe foto s en filmpjes van de kinderen gemaakt. Deze worden via onze website en/of Facebookpagina verspreid. Daarbij houden wij vanzelfsprekend rekening met de privacy-rechten van het kind. Voor het mogen plaatsen van foto- en filmmateriaal waar leerlingen opstaan, hebben wij per leerling elk jaar opnieuw toestemming van de ouders/verzorgers nodig. Dit toestemmingsformulier wordt jaarlijks, aan het begin van het schooljaar aan de ouders verstrekt. Foto s en filmpjes van leerlingen van wie geen getekend toestemmingsformulier in de leerlingenadministratie is opgenomen, worden niet gepubliceerd. Indien de school voor andere media-uitingen (bijvoorbeeld een flyer, poster of boekje) een afbeelding van een leerling wil gebruiken, vraagt de school de ouders/verzorgers daar in een aparte brief toestemming voor. Een getekende akkoordverklaring van de ouders/verzorgers wordt in de leerlingenadministratie opgenomen, alvorens van het beeldmateriaal van de betreffende leerling gebruik mag worden gemaakt. De ouders/verzorgers kunnen hun toestemming te allen tijde weer intrekken. De afbeeldingen/het filmmateriaal van de betreffende kind(eren) zullen dan van de site en/of de Facebookpagina verwijderd worden. De school kan echter niet voorkomen dat anderen, in de periode dat de foto s wel op internet stonden, de foto s gedeeld hebben. De school kan dan ook geen garantie geven dat de verwijderde afbeeldingen niet elders op het internet kunnen staan. InformatieBeveiliging en Privacy 2018 Pagina 22 van 24

23 Tekst 3 voorbeeld van een toestemmingsformulier voor het gebruik van foto- en filmmateriaal op de website van de school en op facebook Geachte ouders/verzorgers, Om u als ouder/verzorger te laten zien welke activiteiten er op school plaatsvinden, maken wij af en toe foto s en filmpjes van de leerlingen, de school en de omgeving van de school. Onze school is een leuke, mooie, aantrekkelijke school waar kwalitatief goed onderwijs wordt gegeven en dat willen we u laten zien. Het is u niet toegestaan om zelf foto s en filmpjes van kinderen, anders dan uw eigen kind(eren) op social media te verspreiden. Dat is wettelijk zo bepaald. Vanzelfsprekend houden wij bij het verspreiden van foto s en filmpjes via onze eigen sociale media rekening met de privacy-rechten van het kind. Er zullen geen profielfoto s geplaatst worden en er worden geen namen van kinderen weergegeven. De kinderen zullen in groepjes of groepen op de foto s/filmpjes te vinden zijn. Voor het plaatsen van foto- en filmmateriaal waar uw kind(eren) op staan op de website en op Facebook hebben wij per kind jaarlijks uw toestemming nodig. U ontvangt dit toestemmingsfomulier dan ook aan het begin van elk schooljaar. Indien wij voor andere media-uitingen, anders dan de website en/of Facebook (bijvoorbeeld een flyer, poster of boekje) een afbeelding van uw kind(eren) willen gebruiken, zullen wij u daar in een aparte brief toestemming voor vragen. U kunt uw toestemming altijd weer intrekken. De afbeeldingen/het filmmateriaal van uw kind(eren) zullen dan van de site en/of de Facebookpagina verwijderd worden. Wij kunnen echter niet voorkomen dat anderen, in de periode dat de foto s wel op internet stonden, de foto s gedeeld hebben en kunnen dus geen garantie geven dat de door ons verwijderde afbeeldingen niet elders op het internet kunnen staan. Wanneer u toestemming geeft om foto s waarop ook uw kind zichtbaar in beeld is, op de website en/of Facebook te plaatsen, wilt u dan vóór (datum) de brief inleveren bij de groepsleerkracht? Foto s/filmpjes van kinderen waarvoor wij geen toestemming hebben ontvangen, zullen niet worden geplaatst. Met vriendelijke groet, Naam directeur InformatieBeveiliging en Privacy 2018 Pagina 23 van 24

24 De heer/mevrouw foto s/filmpjes van de volgende kinderen: geeft toestemming voor het plaatsen van 0 website 0 Facebook 0 website 0 Facebook 0 website 0 Facebook Handtekening ouder/verzorger InformatieBeveiliging en Privacy 2018 Pagina 24 van 24